#ParsedReport #CompletenessLow
02-06-2023
ASEC Weekly Phishing Email Threat Trend (20230521 to 20230527)
https://asec.ahnlab.com/ko/53661
Report completeness: Low
Threats:
Agent_tesla
Formbook
Gasket
Industry:
Financial, Transport
Geo:
Korean
TTPs:
IOCs:
File: 44
Url: 11
Softs:
zimbra
Languages:
php
02-06-2023
ASEC Weekly Phishing Email Threat Trend (20230521 to 20230527)
https://asec.ahnlab.com/ko/53661
Report completeness: Low
Threats:
Agent_tesla
Formbook
Gasket
Industry:
Financial, Transport
Geo:
Korean
TTPs:
IOCs:
File: 44
Url: 11
Softs:
zimbra
Languages:
php
ASEC BLOG
ASEC 주간 피싱 이메일 위협 트렌드 (20230521 ~ 20230527) - ASEC BLOG
AhnLab Security Emergency response Center(ASEC)에서는 샘플 자동 분석 시스템(RAPIT)과 허니팟을 활용하여 피싱 이메일 위협을 모니터링하고 있다. 본 포스팅에서는 2023년 05월 21일부터 05월 27일까지 한 주간 확인된 피싱 이메일 공격의 유포 사례와 이를 유형별로 분류한 통계 정보를 제공한다. 일반적으로 피싱은 공격자가 사회공학 기법을 이용하여 주로 이메일을 통해 기관, 기업, 개인 등으로 위장하거나 사칭함으로써…
#ParsedReport #CompletenessHigh
02-06-2023
Chinese Threat Actor Used Modified Cobalt Strike Variant to Attack Taiwanese Critical Infrastructure
https://blog.eclecticiq.com/chinese-threat-actor-used-modified-cobalt-strike-variant-to-attack-taiwanese-critical-infrastructure
Report completeness: High
Threats:
Cobalt_strike
Fscan_tool
Lazagne
Credential_stealing_technique
Credential_harvesting_technique
Beacon
Budworm
Credential_dumping_technique
Regeorg
Victims:
Taiwanese government entities
Industry:
Government, Iot
Geo:
Ukraine, Taiwanese, Malaysian, Malaysia, Egyptian, Asia-pacific, Chinese, Egypt, Taiwan
CVEs:
CVE-2020-2551 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- oracle weblogic server (12.1.3.0.0, 10.3.6.0.0, 12.2.1.3.0, 12.2.1.4.0)
CVE-2022-39197 [Vulners]
CVSS V3.1: 6.1,
Vulners: Exploitation: True
X-Force: Risk: 6.1
X-Force: Patch: Official fix
Soft:
- helpsystems cobalt strike (le4.7)
CVE-2021-3129 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 7.3
X-Force: Patch: Official fix
Soft:
- facade ignition (<2.5.2)
CVE-2021-44228 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: 10
X-Force: Patch: Official fix
Soft:
- apache log4j (2.0, <2.15.0, <2.3.1, <2.12.2)
- siemens sppa-t3000 ses3000 firmware (*)
- siemens logo\! soft comfort (*)
- siemens spectrum power 4 (4.70)
- siemens siveillance control pro (*)
have more...
CVE-2023-21839 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: 7.5
X-Force: Patch: Official fix
Soft:
- oracle weblogic server (12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0)
TTPs:
Tactics: 1
Technics: 12
IOCs:
IP: 9
Domain: 1
File: 2
Command: 2
Path: 3
Url: 1
Hash: 9
Softs:
oracle weblogic server, laravel, apache log4j, phpmyadmin, windows service
Algorithms:
zip
Languages:
python
Links:
02-06-2023
Chinese Threat Actor Used Modified Cobalt Strike Variant to Attack Taiwanese Critical Infrastructure
https://blog.eclecticiq.com/chinese-threat-actor-used-modified-cobalt-strike-variant-to-attack-taiwanese-critical-infrastructure
Report completeness: High
Threats:
Cobalt_strike
Fscan_tool
Lazagne
Credential_stealing_technique
Credential_harvesting_technique
Beacon
Budworm
Credential_dumping_technique
Regeorg
Victims:
Taiwanese government entities
Industry:
Government, Iot
Geo:
Ukraine, Taiwanese, Malaysian, Malaysia, Egyptian, Asia-pacific, Chinese, Egypt, Taiwan
CVEs:
CVE-2020-2551 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- oracle weblogic server (12.1.3.0.0, 10.3.6.0.0, 12.2.1.3.0, 12.2.1.4.0)
CVE-2022-39197 [Vulners]
CVSS V3.1: 6.1,
Vulners: Exploitation: True
X-Force: Risk: 6.1
X-Force: Patch: Official fix
Soft:
- helpsystems cobalt strike (le4.7)
CVE-2021-3129 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 7.3
X-Force: Patch: Official fix
Soft:
- facade ignition (<2.5.2)
CVE-2021-44228 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: 10
X-Force: Patch: Official fix
Soft:
- apache log4j (2.0, <2.15.0, <2.3.1, <2.12.2)
- siemens sppa-t3000 ses3000 firmware (*)
- siemens logo\! soft comfort (*)
- siemens spectrum power 4 (4.70)
- siemens siveillance control pro (*)
have more...
CVE-2023-21839 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: 7.5
X-Force: Patch: Official fix
Soft:
- oracle weblogic server (12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0)
TTPs:
Tactics: 1
Technics: 12
IOCs:
IP: 9
Domain: 1
File: 2
Command: 2
Path: 3
Url: 1
Hash: 9
Softs:
oracle weblogic server, laravel, apache log4j, phpmyadmin, windows service
Algorithms:
zip
Languages:
python
Links:
https://github.com/L-codes/Neo-reGeorg/tree/masterhttps://github.com/moonD4rk/HackBrowserDatahttps://github.com/canc3s/cIPRhttps://gist.github.com/whichbuffer/250e36cd24357460fd2b1653091a3e9fhttps://github.com/shadow1ng/fscanhttps://github.com/shmilylty/OneForAllhttps://github.com/AlessandroZ/LaZagnehttps://github.com/zan8in/afroghttps://github.com/projectdiscovery/nucleihttps://github.com/uknowsec/SharpCheckInfohttps://github.com/TryGOTry/CobaltStrike\_Cat\_4.5https://github.com/fatedier/frpEclecticiq
Chinese Threat Actor Used Modified Cobalt Strike Variant to Attack Taiwanese Critical Infrastructure
EclecticIQ researchers identified a malicious web server very likely operated by a Chinese threat actor used to target Taiwanese government entities.
CTT Report Hub
#ParsedReport #CompletenessHigh 02-06-2023 Chinese Threat Actor Used Modified Cobalt Strike Variant to Attack Taiwanese Critical Infrastructure https://blog.eclecticiq.com/chinese-threat-actor-used-modified-cobalt-strike-variant-to-attack-taiwanese-critical…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Исследователи EclecticIQ выявили вредоносный веб-сервер, который, вероятно, эксплуатируется китайским угрожающим субъектом, нацеленным на тайваньские государственные организации. Угроза использовала инструменты разведки для сканирования и снятия отпечатков пальцев с систем, инструменты с открытым исходным кодом, модифицированную версию Cobalt Strike и методы кражи учетных данных для компрометации жертв. Основными целями являются государственные структуры Тайваня и организации, работающие в секторе критических инфраструктур.
-----
Исследователи EclecticIQ выявили вредоносный веб-сервер, управляемый китайским субъектом угроз, нацеленный на тайваньские государственные учреждения и критически важную инфраструктуру.
Угрожающий субъект в основном фокусировался на эксплуатации четырех различных уязвимостей удаленного выполнения кода (RCE) и в значительной степени полагался на инструменты с открытым исходным кодом.
Угроза использовала инструменты разведки, заранее настроенные списки целей и брутфорсинг, чтобы нацелиться на жертву.
Агент угрозы использовал модифицированную версию Cobalt Strike 4.5, получившую название "Cobalt Strike Cat", для создания выделенного канала связи с системой жертвы.
Субъект угрозы использовал службы Windows для установки модифицированной версии полезной нагрузки Cobalt Strike и применял методы кражи учетных данных.
Угрожающий субъект использовал инструменты обратного прокси с открытым исходным кодом, чтобы вывести локальные устройства в Интернет.
Исследователи EclecticIQ с умеренной уверенностью оценивают, что основными целями угрожающего субъекта являются тайваньские государственные структуры и организации в секторе критических инфраструктур.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Исследователи EclecticIQ выявили вредоносный веб-сервер, который, вероятно, эксплуатируется китайским угрожающим субъектом, нацеленным на тайваньские государственные организации. Угроза использовала инструменты разведки для сканирования и снятия отпечатков пальцев с систем, инструменты с открытым исходным кодом, модифицированную версию Cobalt Strike и методы кражи учетных данных для компрометации жертв. Основными целями являются государственные структуры Тайваня и организации, работающие в секторе критических инфраструктур.
-----
Исследователи EclecticIQ выявили вредоносный веб-сервер, управляемый китайским субъектом угроз, нацеленный на тайваньские государственные учреждения и критически важную инфраструктуру.
Угрожающий субъект в основном фокусировался на эксплуатации четырех различных уязвимостей удаленного выполнения кода (RCE) и в значительной степени полагался на инструменты с открытым исходным кодом.
Угроза использовала инструменты разведки, заранее настроенные списки целей и брутфорсинг, чтобы нацелиться на жертву.
Агент угрозы использовал модифицированную версию Cobalt Strike 4.5, получившую название "Cobalt Strike Cat", для создания выделенного канала связи с системой жертвы.
Субъект угрозы использовал службы Windows для установки модифицированной версии полезной нагрузки Cobalt Strike и применял методы кражи учетных данных.
Угрожающий субъект использовал инструменты обратного прокси с открытым исходным кодом, чтобы вывести локальные устройства в Интернет.
Исследователи EclecticIQ с умеренной уверенностью оценивают, что основными целями угрожающего субъекта являются тайваньские государственные структуры и организации в секторе критических инфраструктур.
#technique
Bypassing Intel CET with Counterfeit Objects
https://www.offsec.com/offsec/bypassing-intel-cet-with-counterfeit-objects/
Bypassing Intel CET with Counterfeit Objects
https://www.offsec.com/offsec/bypassing-intel-cet-with-counterfeit-objects/
OffSec
Bypassing Intel CET with Counterfeit Objects
In this blog, we’ll briefly cover how CFI mitigations works, including CET, and how we can leverage COOP to effectively bypass Intel CET on the latest Windows releases.
#technique
EDR bypassing via memory manipulation techniques
https://labs.withsecure.com/publications/edr-bypassing-via-memory-manipulation-techniques
EDR bypassing via memory manipulation techniques
https://labs.withsecure.com/publications/edr-bypassing-via-memory-manipulation-techniques
Withsecure
EDR bypassing via memory manipulation techniques
Endpoint Detection & Response systems (EDR),
delivered by in-house teams or as part of a managed
service, are a feature of modern intrusion detection
and remediation operations. This success is a problem
for attackers, and malicious actors have worked…
delivered by in-house teams or as part of a managed
service, are a feature of modern intrusion detection
and remediation operations. This success is a problem
for attackers, and malicious actors have worked…
The group that wasn't – tracking and defining Winnti
https://counterintelligence.pl/wp-content/uploads/2023/06/x33fcon2023.pdf
https://counterintelligence.pl/wp-content/uploads/2023/06/x33fcon2023.pdf
#ParsedReport #CompletenessMedium
05-06-2023
Volt Typhoon: Chinese State-Sponsored Actor Targeting Critical Infrastructure
https://www.secureblink.com/threat-research/volt-typhoon-chinese-state-sponsored-actor-targeting-critical-infrastructure
Report completeness: Medium
Actors/Campaigns:
Volt_typhoon (motivation: cyber_espionage)
Threats:
Lolbin_technique
Mimikatz_tool
Steganography_technique
Portproxy_tool
Credential_stealing_technique
Victims:
Critical infrastructure organizations in the us
Industry:
Government, Transport, Maritime, Education
Geo:
China, Guam, Chinese
TTPs:
Tactics: 3
Technics: 0
ChatGPT TTPs:
T1078, T1144, T1036, T1098, T1090, T1124, T1112, T1106, T1075, T1083, have more...
IOCs:
File: 2
Hash: 19
Softs:
active directory, zyxel, local security authority, windows local security authority, psexec, windows defender credential guard, microsoft defender, microsoft defender for endpoint
Algorithms:
sha256, base64
05-06-2023
Volt Typhoon: Chinese State-Sponsored Actor Targeting Critical Infrastructure
https://www.secureblink.com/threat-research/volt-typhoon-chinese-state-sponsored-actor-targeting-critical-infrastructure
Report completeness: Medium
Actors/Campaigns:
Volt_typhoon (motivation: cyber_espionage)
Threats:
Lolbin_technique
Mimikatz_tool
Steganography_technique
Portproxy_tool
Credential_stealing_technique
Victims:
Critical infrastructure organizations in the us
Industry:
Government, Transport, Maritime, Education
Geo:
China, Guam, Chinese
TTPs:
Tactics: 3
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1078, T1144, T1036, T1098, T1090, T1124, T1112, T1106, T1075, T1083, have more...
IOCs:
File: 2
Hash: 19
Softs:
active directory, zyxel, local security authority, windows local security authority, psexec, windows defender credential guard, microsoft defender, microsoft defender for endpoint
Algorithms:
sha256, base64
Secureblink
Volt Typhoon: Chinese State-Sponsored Actor Targeting Critical Infrastructure | Secure Blink
A stealthy and targeted campaign by Volt Typhoon, a China-based state-sponsored actor, aiming to disrupt critical communications infrastructure between the US & Asia
CTT Report Hub
#ParsedReport #CompletenessMedium 05-06-2023 Volt Typhoon: Chinese State-Sponsored Actor Targeting Critical Infrastructure https://www.secureblink.com/threat-research/volt-typhoon-chinese-state-sponsored-actor-targeting-critical-infrastructure Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Volt Typhoon - это спонсируемая государством группа агентов, базирующаяся в Китае, которая с середины 2021 года ведет целенаправленную вредоносную деятельность с целью получения и сохранения доступа к сетям критической инфраструктуры.
-----
Volt Typhoon - это спонсируемая государством группа агентов, базирующаяся в Китае, которая ведет целенаправленную вредоносную деятельность с середины 2021 года. Их основная цель - получить и сохранить доступ к сетям критической инфраструктуры, используя сложные методы и живые двоичные файлы (LOLBins). Группа была замечена в использовании пользовательских версий инструментов с открытым исходным кодом для создания канала командования и управления (C2) через прокси-соединения и эксплуатации устройств Fortinet FortiGuard, выходящих в интернет, для получения первоначального доступа.
Попав в сеть, Volt Typhoon фокусируется на краже учетных данных и повышении привилегий, похищая учетные данные из памяти с помощью инструментов типа Mimikatz и используя неправильную конфигурацию и уязвимости для повышения своих привилегий. Они также используют методы стеганографии для сокрытия данных в файлах изображений с целью их утечки. Для сохранения устойчивости в сети они создают бэкдоры, устанавливают вредоносные службы и изменяют параметры реестра.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Volt Typhoon - это спонсируемая государством группа агентов, базирующаяся в Китае, которая с середины 2021 года ведет целенаправленную вредоносную деятельность с целью получения и сохранения доступа к сетям критической инфраструктуры.
-----
Volt Typhoon - это спонсируемая государством группа агентов, базирующаяся в Китае, которая ведет целенаправленную вредоносную деятельность с середины 2021 года. Их основная цель - получить и сохранить доступ к сетям критической инфраструктуры, используя сложные методы и живые двоичные файлы (LOLBins). Группа была замечена в использовании пользовательских версий инструментов с открытым исходным кодом для создания канала командования и управления (C2) через прокси-соединения и эксплуатации устройств Fortinet FortiGuard, выходящих в интернет, для получения первоначального доступа.
Попав в сеть, Volt Typhoon фокусируется на краже учетных данных и повышении привилегий, похищая учетные данные из памяти с помощью инструментов типа Mimikatz и используя неправильную конфигурацию и уязвимости для повышения своих привилегий. Они также используют методы стеганографии для сокрытия данных в файлах изображений с целью их утечки. Для сохранения устойчивости в сети они создают бэкдоры, устанавливают вредоносные службы и изменяют параметры реестра.
#ParsedReport #CompletenessHigh
05-06-2023
COSMICENERGY: New OT Malware Possibly Related To Russian Emergency Response Exercises
https://www.mandiant.com/resources/blog/cosmicenergy-ot-malware-russian-response
Report completeness: High
Threats:
Cosmicenergy
Crashoverride
Conduit
Piehop
Lightwork
Meterpreter_tool
Triton
Irongate
Incontroller_tool
Victims:
Organizations leveraging iec-104 compliant devices
Industry:
Government, Ics, Energy
Geo:
Asia, Russian, Russia
TTPs:
Tactics: 1
Technics: 5
IOCs:
File: 1
Hash: 6
Softs:
mssql, pyinstaller, py2exe, outlook, windows shell, networkminer
Algorithms:
sha256, sha1, base64
Win API:
Polygon
Languages:
python
YARA: Found
05-06-2023
COSMICENERGY: New OT Malware Possibly Related To Russian Emergency Response Exercises
https://www.mandiant.com/resources/blog/cosmicenergy-ot-malware-russian-response
Report completeness: High
Threats:
Cosmicenergy
Crashoverride
Conduit
Piehop
Lightwork
Meterpreter_tool
Triton
Irongate
Incontroller_tool
Victims:
Organizations leveraging iec-104 compliant devices
Industry:
Government, Ics, Energy
Geo:
Asia, Russian, Russia
TTPs:
Tactics: 1
Technics: 5
IOCs:
File: 1
Hash: 6
Softs:
mssql, pyinstaller, py2exe, outlook, windows shell, networkminer
Algorithms:
sha256, sha1, base64
Win API:
Polygon
Languages:
python
YARA: Found
Google Cloud Blog
COSMICENERGY: New OT Malware Possibly Related To Russian Emergency Response Exercises | Mandiant | Google Cloud Blog
CTT Report Hub
#ParsedReport #CompletenessHigh 05-06-2023 COSMICENERGY: New OT Malware Possibly Related To Russian Emergency Response Exercises https://www.mandiant.com/resources/blog/cosmicenergy-ot-malware-russian-response Report completeness: High Threats: Cosmicenergy…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: COSMICENERGY - это новое OT/ICS-ориентированное вредоносное ПО, которое способно нарушить работу электроэнергетики и похоже на инцидент 2016 года INDUSTROYER.
-----
Компания Mandiant обнаружила COSMICENERGY, новую вредоносную программу, ориентированную на OT/ICS, загруженную в публичную службу сканирования вредоносных программ в России. COSMICENERGY предназначен для нарушения электроснабжения путем взаимодействия с устройствами стандарта IEC 60870-5-104 (IEC-104), такими как удаленные терминалы (RTU). Его возможности и стратегия атаки схожи с инцидентом INDUSTROYER 2016 года. Вредоносная программа состоит из двух компонентов - PIEHOP и LIGHTWORK. PIEHOP может подключаться к удаленному серверу MSSQL для загрузки файлов и подачи команд на RTU. LIGHTWORK реализует протокол IEC-104 для изменения состояния RTU через TCP. Он также включает восемь жестко закодированных адресов информационных объектов IEC-104 (IOA).
Происхождение и назначение COSMICENERGY неясно, но оно могло использоваться для поддержки учений, проводимых "Ростелеком-Solar", российской компанией по кибербезопасности, получившей государственную субсидию в 2019 году. Не исключено, что вредоносное ПО было разработано со злым умыслом и может использоваться для поддержки целенаправленной деятельности угроз в дикой природе. Барьеры для входа в наступательные ОТ-угрозы снижаются, поскольку субъекты используют знания, полученные в ходе предыдущих атак, для разработки новых вредоносных программ.
В заключение следует отметить, что COSMICENERGY представляет собой непосредственную угрозу для пострадавших организаций, и организациям следует принять меры по защите от вредоносного ПО и развернуть средства обнаружения для выявления вредоносной активности. Поскольку барьеры для проникновения наступательных угроз ОТ снижаются, организациям важно предпринять необходимые шаги для защиты.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: COSMICENERGY - это новое OT/ICS-ориентированное вредоносное ПО, которое способно нарушить работу электроэнергетики и похоже на инцидент 2016 года INDUSTROYER.
-----
Компания Mandiant обнаружила COSMICENERGY, новую вредоносную программу, ориентированную на OT/ICS, загруженную в публичную службу сканирования вредоносных программ в России. COSMICENERGY предназначен для нарушения электроснабжения путем взаимодействия с устройствами стандарта IEC 60870-5-104 (IEC-104), такими как удаленные терминалы (RTU). Его возможности и стратегия атаки схожи с инцидентом INDUSTROYER 2016 года. Вредоносная программа состоит из двух компонентов - PIEHOP и LIGHTWORK. PIEHOP может подключаться к удаленному серверу MSSQL для загрузки файлов и подачи команд на RTU. LIGHTWORK реализует протокол IEC-104 для изменения состояния RTU через TCP. Он также включает восемь жестко закодированных адресов информационных объектов IEC-104 (IOA).
Происхождение и назначение COSMICENERGY неясно, но оно могло использоваться для поддержки учений, проводимых "Ростелеком-Solar", российской компанией по кибербезопасности, получившей государственную субсидию в 2019 году. Не исключено, что вредоносное ПО было разработано со злым умыслом и может использоваться для поддержки целенаправленной деятельности угроз в дикой природе. Барьеры для входа в наступательные ОТ-угрозы снижаются, поскольку субъекты используют знания, полученные в ходе предыдущих атак, для разработки новых вредоносных программ.
В заключение следует отметить, что COSMICENERGY представляет собой непосредственную угрозу для пострадавших организаций, и организациям следует принять меры по защите от вредоносного ПО и развернуть средства обнаружения для выявления вредоносной активности. Поскольку барьеры для проникновения наступательных угроз ОТ снижаются, организациям важно предпринять необходимые шаги для защиты.
#ParsedReport #CompletenessMedium
05-06-2023
Bitter Organization New Attack Weapon Analysis Report-ORPCBackdoor Weapon Analysis
https://mp.weixin.qq.com/s/H-ZRvcofbzwZ8Ikyn5Vu4w
Report completeness: Medium
Actors/Campaigns:
Bitter
Dropping_elephant
Manlinghua
Threats:
Orpcbackdoor
Dll_hijacking_technique
Victims:
Energy, engineering and government sectors of pakistan, bangladesh and saudi arabia
Industry:
Education, Aerospace, Government, Energy
Geo:
Asia, Bangladesh, Pakistan
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1187, T1106, T1060, T1053, T1008, T1071, T1036, T1046, T1082, T1083, have more...
IOCs:
Hash: 1
File: 6
Path: 1
Softs:
microsoft outlook, outlook
Algorithms:
sha256
Functions:
GetFileVersionInfoByHandle, GetFileVersionInfoBy-H, RPC, GetShell, Socket
Win API:
GetFileVersionInfoA, GetFileVersionInfoExW, GetFileVersionInfoSizeA, GetFileVersionInfoSizeExW, GetFileVersionInfoSizeW, GetFileVersionInfoW, VerFindFileA, VerFindFileW, VerInstallFileA, VerInstallFileW, have more...
05-06-2023
Bitter Organization New Attack Weapon Analysis Report-ORPCBackdoor Weapon Analysis
https://mp.weixin.qq.com/s/H-ZRvcofbzwZ8Ikyn5Vu4w
Report completeness: Medium
Actors/Campaigns:
Bitter
Dropping_elephant
Manlinghua
Threats:
Orpcbackdoor
Dll_hijacking_technique
Victims:
Energy, engineering and government sectors of pakistan, bangladesh and saudi arabia
Industry:
Education, Aerospace, Government, Energy
Geo:
Asia, Bangladesh, Pakistan
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1187, T1106, T1060, T1053, T1008, T1071, T1036, T1046, T1082, T1083, have more...
IOCs:
Hash: 1
File: 6
Path: 1
Softs:
microsoft outlook, outlook
Algorithms:
sha256
Functions:
GetFileVersionInfoByHandle, GetFileVersionInfoBy-H, RPC, GetShell, Socket
Win API:
GetFileVersionInfoA, GetFileVersionInfoExW, GetFileVersionInfoSizeA, GetFileVersionInfoSizeExW, GetFileVersionInfoSizeW, GetFileVersionInfoW, VerFindFileA, VerFindFileW, VerInstallFileA, VerInstallFileW, have more...
Weixin Official Accounts Platform
Bitter组织新攻击武器分析报告-ORPCBackdoor武器分析
CTT Report Hub
#ParsedReport #CompletenessMedium 05-06-2023 Bitter Organization New Attack Weapon Analysis Report-ORPCBackdoor Weapon Analysis https://mp.weixin.qq.com/s/H-ZRvcofbzwZ8Ikyn5Vu4w Report completeness: Medium Actors/Campaigns: Bitter Dropping_elephant Manlinghua…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Организация Bitter - это группа продвинутых угроз, действующая с 2013 года и нацеленная на энергетический, инженерный и государственный секторы Пакистана, Бангладеш и Саудовской Аравии. Недавно группа 404 Advanced Threat Intelligence Team обнаружила в ее арсенале новый тип DLL-бэкдора, ORPCBackdoor. ORPCBackdoor - это относительно оптимизированная и зрело разработанная программа-бэкдор, содержащая множество функциональных модулей.
-----
Анализ инструмента атаки ORPCBackdoor организации Bitter показывает, что это относительно упрощенная и зрело разработанная программа бэкдора. Бэкдор используется для создания базовой среды для последующих операций и, вероятно, ориентирован на группы пользователей Outlook. ORPCBackdoor содержит множество функциональных блоков, которые взаимодействуют для завершения предварительной работы по интерактивному выполнению с сервером. Сюда входит анализ символов, тест первого запуска, сохранение, сбор локальной информации, обнаружение C2 в режиме онлайн и т.д. В ORPCBackdoor есть две вредоносные записи, первая - экспортная функция GetFileVersionInfoByHandleEx(void), вторая - DllEntryPoint. Модуль, соответствующий команде DWN, является хорошо продуманным функциональным модулем, и его функция заключается в загрузке файлов. Команда CMD является основной командой ORPCBackdoor, а ее функция - GetShell.
Логика обработки, используемая ею, заключается в анализе команды Shell, выданной сервером, и последующем сращивании команды после получения команды Shell, выданной сервером. ORPCBackdoor использует технологию перехвата DLL и применяет метод "белое плюс черное" для достижения определенного анти-килл эффекта. Проведя анализ этого инструмента атаки, можно сделать вывод, что операция является хорошо продуманной и спланированной. Chuangyu Lieyou - это инструмент обнаружения и анализа трафика для активных APT-организаций. Он охватывает правила известных уязвимостей, сочетается с многолетними данными разведки ZoomEye по обследованию и картографированию, дополняется технологией анализа модели аномального поведения сети и может выявить все подозрительные действия.
Организация Bitter, также известная как Man Linghua, является передовой группой угроз, предположительно происходящей из Южной Азии. Она действует с 2013 года и ориентирована на энергетический, инженерный и государственный секторы Пакистана, Бангладеш и Саудовской Аравии. Недавно группа 404 Advanced Threat Intelligence Team в ходе постоянного отслеживания организации Bitter обнаружила в своем арсенале новый тип DLL-бэкдора. Этот бэкдор был назван ORPCBackdoor из-за его метода коммуникации, использующего RPC для взаимодействия с сервером. ORPCBackdoor содержит множество функциональных блоков, включая анализ символов, тест первого запуска, сохранение, сбор локальной информации, обнаружение C2 онлайн, GetShell, загрузку файлов и т.д. Он использует технологию перехвата DLL и применяет метод "белое плюс черное" для достижения определенного антиубийственного эффекта.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Организация Bitter - это группа продвинутых угроз, действующая с 2013 года и нацеленная на энергетический, инженерный и государственный секторы Пакистана, Бангладеш и Саудовской Аравии. Недавно группа 404 Advanced Threat Intelligence Team обнаружила в ее арсенале новый тип DLL-бэкдора, ORPCBackdoor. ORPCBackdoor - это относительно оптимизированная и зрело разработанная программа-бэкдор, содержащая множество функциональных модулей.
-----
Анализ инструмента атаки ORPCBackdoor организации Bitter показывает, что это относительно упрощенная и зрело разработанная программа бэкдора. Бэкдор используется для создания базовой среды для последующих операций и, вероятно, ориентирован на группы пользователей Outlook. ORPCBackdoor содержит множество функциональных блоков, которые взаимодействуют для завершения предварительной работы по интерактивному выполнению с сервером. Сюда входит анализ символов, тест первого запуска, сохранение, сбор локальной информации, обнаружение C2 в режиме онлайн и т.д. В ORPCBackdoor есть две вредоносные записи, первая - экспортная функция GetFileVersionInfoByHandleEx(void), вторая - DllEntryPoint. Модуль, соответствующий команде DWN, является хорошо продуманным функциональным модулем, и его функция заключается в загрузке файлов. Команда CMD является основной командой ORPCBackdoor, а ее функция - GetShell.
Логика обработки, используемая ею, заключается в анализе команды Shell, выданной сервером, и последующем сращивании команды после получения команды Shell, выданной сервером. ORPCBackdoor использует технологию перехвата DLL и применяет метод "белое плюс черное" для достижения определенного анти-килл эффекта. Проведя анализ этого инструмента атаки, можно сделать вывод, что операция является хорошо продуманной и спланированной. Chuangyu Lieyou - это инструмент обнаружения и анализа трафика для активных APT-организаций. Он охватывает правила известных уязвимостей, сочетается с многолетними данными разведки ZoomEye по обследованию и картографированию, дополняется технологией анализа модели аномального поведения сети и может выявить все подозрительные действия.
Организация Bitter, также известная как Man Linghua, является передовой группой угроз, предположительно происходящей из Южной Азии. Она действует с 2013 года и ориентирована на энергетический, инженерный и государственный секторы Пакистана, Бангладеш и Саудовской Аравии. Недавно группа 404 Advanced Threat Intelligence Team в ходе постоянного отслеживания организации Bitter обнаружила в своем арсенале новый тип DLL-бэкдора. Этот бэкдор был назван ORPCBackdoor из-за его метода коммуникации, использующего RPC для взаимодействия с сервером. ORPCBackdoor содержит множество функциональных блоков, включая анализ символов, тест первого запуска, сохранение, сбор локальной информации, обнаружение C2 онлайн, GetShell, загрузку файлов и т.д. Он использует технологию перехвата DLL и применяет метод "белое плюс черное" для достижения определенного антиубийственного эффекта.
#ParsedReport #CompletenessHigh
05-06-2023
Not your average Joe: An analysis of the XeGroup s attack techniques
https://www.menlosecurity.com/blog/not-your-average-joe-an-analysis-of-the-xegroups-attack-techniques
Report completeness: High
Actors/Campaigns:
Xegroup (motivation: cyber_criminal)
Magecart
Threats:
Supply_chain_technique
Aspxspy_shell
Sliver_tool
Netcat_tool
Victims:
Us-based corporations, government agencies, construction organizations, and healthcare providers
Industry:
Retail, Healthcare, E-commerce, Financial, Government
Geo:
Vietnam, Vietnamese
CVEs:
CVE-2019-18935 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- telerik ui for asp.net ajax (<2019.3.1023)
IOCs:
File: 1
Email: 10
Path: 1
Domain: 84
IP: 11
Url: 3
Hash: 56
Softs:
adobe coldfusion, asp.net, instagram
Algorithms:
base64
Functions:
ismatchagent
Languages:
javascript, autoit
Platforms:
intel
Links:
05-06-2023
Not your average Joe: An analysis of the XeGroup s attack techniques
https://www.menlosecurity.com/blog/not-your-average-joe-an-analysis-of-the-xegroups-attack-techniques
Report completeness: High
Actors/Campaigns:
Xegroup (motivation: cyber_criminal)
Magecart
Threats:
Supply_chain_technique
Aspxspy_shell
Sliver_tool
Netcat_tool
Victims:
Us-based corporations, government agencies, construction organizations, and healthcare providers
Industry:
Retail, Healthcare, E-commerce, Financial, Government
Geo:
Vietnam, Vietnamese
CVEs:
CVE-2019-18935 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- telerik ui for asp.net ajax (<2019.3.1023)
IOCs:
File: 1
Email: 10
Path: 1
Domain: 84
IP: 11
Url: 3
Hash: 56
Softs:
adobe coldfusion, asp.net, instagram
Algorithms:
base64
Functions:
ismatchagent
Languages:
javascript, autoit
Platforms:
intel
Links:
https://github.com/volexity/threat-intel/blob/main/2021/2021-12-06%20-%20XEGroup/indicators/indicators.csvMenlosecurity
XeGroup’s attack techniques - Blog | Menlo Security
XeGroup is a hacking group that has been active since at least 2013. Menlo Labs uncovers and analyzes their attack techniques.
CTT Report Hub
#ParsedReport #CompletenessHigh 05-06-2023 Not your average Joe: An analysis of the XeGroup s attack techniques https://www.menlosecurity.com/blog/not-your-average-joe-an-analysis-of-the-xegroups-attack-techniques Report completeness: High Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: XeGroup - активная и растущая хакерская группа, похитившая более 30 миллионов долларов у американских корпораций, государственных учреждений, строительных организаций и сектора здравоохранения, и, вероятно, базирующаяся во Вьетнаме. Они используют различные методы атак и были отслежены исследователями компании Volexity. Важно сохранять бдительность, используя меры безопасности и передовой опыт для защиты конфиденциальных данных.
-----
XeGroup - это хакерская группа, которая представляет собой активную и растущую угрозу, по крайней мере, с 2013 года. Они атаковали американские корпорации, правительственные учреждения, строительные организации и сектор здравоохранения. Считается, что группа похитила более 30 миллионов долларов у этих организаций и, скорее всего, базируется во Вьетнаме под псевдонимами XeThanh и/или XeGroup. Они используют различные методы атак, такие как атаки на цепочки поставок, поддельные веб-сайты и продажа украденных данных в темной паутине.
XeGroup известна использованием уязвимости CVE-2019-18935, которая позволяет им получить удаленный доступ к серверу правительства США. Они также используют веб-оболочки ASPXSPY для получения несанкционированного доступа к веб-серверам. Эти инструменты атаки связаны с адресами электронной почты xecloud[@\]icloud.com и xemembers[@\]icloud.com. Кроме того, XeGroup использовала инъекции JavaScript для использования уязвимостей в платформах электронной коммерции Magento, серверном ПО Adobe ColdFusion и компонентах пользовательского интерфейса Telerik для кражи финансовой информации.
XeGroup была впервые выявлена в 2013 году, когда она успешно проникла в системы точек продаж в розничных магазинах по всему миру, создав вредоносное ПО под названием Snipr (Credential-Stuffing toolkit). Они также рассылали фишинговые электронные письма, используя поддельные домены, связанные с легитимными компаниями, такими как PayPal и eBay. В августе 2020 года XeGroup, предположительно, была уничтожена после того, как ее отследили исследователи компании Volexity, которые сообщили о своих находках правоохранительным органам по всему миру.
Однако теперь выяснилось, что XeGroup вернулась и ведет активную деятельность по скиммингу кредитных карт по всей клиентской базе и использует маскированные EXE-файлы под PNG-файлы, чтобы избежать обнаружения. Menlo Labs также обнаружила тот же значок/шрифт, связанный с GitHub и Crowdin, а также учетную запись Google Play Games с идентификатором игрока g02444030915105485496 и аватаром Joe Nguyen. Дальнейшее изучение истории whois этих сайтов выявило адреса электронной почты и другую идентифицирующую информацию, связанную с именем Joe Nguyen и строкой XeThanh.
На основании собранных доказательств был сделан вывод, что Тхань Нгуен использует общие пароли joynnguyen[@\]msn.com и xegroups[@\]gmail.com, и что Нгуен Хыу Тай (также известный как Джо Нгуен и Тхань Нгуен), вероятно, связан с XeGroup. Адрес электронной почты xxx.corp[@\]gmail.com также, вероятно, связан с этой группой и имеет имя Nguyen Van Phuc.
Учитывая постоянную угрозу со стороны XeGroup и ее тактику атак, необходимо сохранять бдительность в отношении мер безопасности и передовой практики для обеспечения защиты конфиденциальных данных.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: XeGroup - активная и растущая хакерская группа, похитившая более 30 миллионов долларов у американских корпораций, государственных учреждений, строительных организаций и сектора здравоохранения, и, вероятно, базирующаяся во Вьетнаме. Они используют различные методы атак и были отслежены исследователями компании Volexity. Важно сохранять бдительность, используя меры безопасности и передовой опыт для защиты конфиденциальных данных.
-----
XeGroup - это хакерская группа, которая представляет собой активную и растущую угрозу, по крайней мере, с 2013 года. Они атаковали американские корпорации, правительственные учреждения, строительные организации и сектор здравоохранения. Считается, что группа похитила более 30 миллионов долларов у этих организаций и, скорее всего, базируется во Вьетнаме под псевдонимами XeThanh и/или XeGroup. Они используют различные методы атак, такие как атаки на цепочки поставок, поддельные веб-сайты и продажа украденных данных в темной паутине.
XeGroup известна использованием уязвимости CVE-2019-18935, которая позволяет им получить удаленный доступ к серверу правительства США. Они также используют веб-оболочки ASPXSPY для получения несанкционированного доступа к веб-серверам. Эти инструменты атаки связаны с адресами электронной почты xecloud[@\]icloud.com и xemembers[@\]icloud.com. Кроме того, XeGroup использовала инъекции JavaScript для использования уязвимостей в платформах электронной коммерции Magento, серверном ПО Adobe ColdFusion и компонентах пользовательского интерфейса Telerik для кражи финансовой информации.
XeGroup была впервые выявлена в 2013 году, когда она успешно проникла в системы точек продаж в розничных магазинах по всему миру, создав вредоносное ПО под названием Snipr (Credential-Stuffing toolkit). Они также рассылали фишинговые электронные письма, используя поддельные домены, связанные с легитимными компаниями, такими как PayPal и eBay. В августе 2020 года XeGroup, предположительно, была уничтожена после того, как ее отследили исследователи компании Volexity, которые сообщили о своих находках правоохранительным органам по всему миру.
Однако теперь выяснилось, что XeGroup вернулась и ведет активную деятельность по скиммингу кредитных карт по всей клиентской базе и использует маскированные EXE-файлы под PNG-файлы, чтобы избежать обнаружения. Menlo Labs также обнаружила тот же значок/шрифт, связанный с GitHub и Crowdin, а также учетную запись Google Play Games с идентификатором игрока g02444030915105485496 и аватаром Joe Nguyen. Дальнейшее изучение истории whois этих сайтов выявило адреса электронной почты и другую идентифицирующую информацию, связанную с именем Joe Nguyen и строкой XeThanh.
На основании собранных доказательств был сделан вывод, что Тхань Нгуен использует общие пароли joynnguyen[@\]msn.com и xegroups[@\]gmail.com, и что Нгуен Хыу Тай (также известный как Джо Нгуен и Тхань Нгуен), вероятно, связан с XeGroup. Адрес электронной почты xxx.corp[@\]gmail.com также, вероятно, связан с этой группой и имеет имя Nguyen Van Phuc.
Учитывая постоянную угрозу со стороны XeGroup и ее тактику атак, необходимо сохранять бдительность в отношении мер безопасности и передовой практики для обеспечения защиты конфиденциальных данных.
#ParsedReport #CompletenessLow
02-06-2023
Netskope Threat Coverage: MOVEit Transfer Zero-Day
https://www.netskope.com/blog/netskope-threat-coverage-moveit-transfer-zero-day
Report completeness: Low
Victims:
Moveit transfer customers
Industry:
Healthcare
ChatGPT TTPs:
T1078, T1140, T1090
IOCs:
File: 2
Path: 2
Hash: 11
IP: 3
Softs:
moveit
Algorithms:
sha256
02-06-2023
Netskope Threat Coverage: MOVEit Transfer Zero-Day
https://www.netskope.com/blog/netskope-threat-coverage-moveit-transfer-zero-day
Report completeness: Low
Victims:
Moveit transfer customers
Industry:
Healthcare
ChatGPT TTPs:
do not use without manual checkT1078, T1140, T1090
IOCs:
File: 2
Path: 2
Hash: 11
IP: 3
Softs:
moveit
Algorithms:
sha256
Netskope
Netskope Threat Coverage: MOVEit Transfer Zero-Day
Summary A new critical zero-day vulnerability in the MOVEit Transfer software is being actively exploited by attackers to exfiltrate data from
#ParsedReport #CompletenessMedium
05-06-2023
Satacom delivers browser extension that steals cryptocurrency
https://securelist.com/satacom-delivers-cryptocurrency-stealing-browser-extension/109807
Report completeness: Medium
Threats:
Legionloader
Process_injection_technique
Process_hollowing_technique
Victims:
Individual users around the world
Geo:
Egypt, Vietnam, Turkey, Indonesia, India, Brazil, Algeria, Mexico
TTPs:
Tactics: 9
Technics: 20
IOCs:
File: 6
Domain: 68
IP: 1
Hash: 4
Softs:
google chrome, opera, chrome, wordpress, macos
Wallets:
coinbase
Crypto:
bitcoin, kucoin, binance
Algorithms:
zip, rc4, base64, base58
Languages:
javascript
05-06-2023
Satacom delivers browser extension that steals cryptocurrency
https://securelist.com/satacom-delivers-cryptocurrency-stealing-browser-extension/109807
Report completeness: Medium
Threats:
Legionloader
Process_injection_technique
Process_hollowing_technique
Victims:
Individual users around the world
Geo:
Egypt, Vietnam, Turkey, Indonesia, India, Brazil, Algeria, Mexico
TTPs:
Tactics: 9
Technics: 20
IOCs:
File: 6
Domain: 68
IP: 1
Hash: 4
Softs:
google chrome, opera, chrome, wordpress, macos
Wallets:
coinbase
Crypto:
bitcoin, kucoin, binance
Algorithms:
zip, rc4, base64, base58
Languages:
javascript
Securelist
Recent Satacom campaign delivers cryptocurrency-stealing addon
A recent campaign by Satacom downloader is delivering a cryptocurrency-stealing extension for Chromium-based browsers, such as Chrome, Brave and Opera.
CTT Report Hub
#ParsedReport #CompletenessMedium 05-06-2023 Satacom delivers browser extension that steals cryptocurrency https://securelist.com/satacom-delivers-cryptocurrency-stealing-browser-extension/109807 Report completeness: Medium Threats: Legionloader Proce…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея данного текста заключается в том, что Satacom - это опасное семейство вредоносных программ, которое постоянно разрабатывается и внедряется субъектами угроз с целью кражи криптовалюты у жертв и перевода ее на кошельки злоумышленников.
-----
Satacom - это семейство вредоносных программ, появившееся в 2019 году и известное тем, что использует технику запроса DNS-серверов для получения URL-адреса в base64-кодировке с целью получения следующего этапа другого семейства вредоносных программ. Вредоносные ссылки или реклама на сайтах перенаправляют пользователей на вредоносные сайты, такие как поддельные файлообменные сервисы. Основная цель вредоносной программы, которую сбрасывает загрузчик Satacom, - кража BTC со счета жертвы путем выполнения веб-инъекций на целевые криптовалютные веб-сайты.
Заражение начинается с файла ZIP-архива, загруженного с веб-сайта, который внешне имитирует портал программного обеспечения. Файл Setup.tmp создает новый файл PE DLL в каталоге Temp и загружает его в себя. Затем он расшифровывает полезную нагрузку Satacom и создает новый подпроцесс explorer.exe для внедрения вредоносной программы. Вредоносная полезная нагрузка использует реализацию шифрования RC4 для расшифровки своих конфигурационных данных, строк связи и данных для других сброшенных двоичных файлов на машине жертвы. Вредоносная программа использует различные жестко закодированные ключи для расшифровки данных на каждом этапе. Explorer.exe выполняет DNS-запрос к don-dns.com через Google DNS и запрашивает TXT-запись. По URL-адресу загружается полезная нагрузка.
Загрузчик Satacom загружает на машину жертвы различные двоичные файлы, включая вредоносное расширение для веб-браузеров на базе Chromium, нацеленное на Google Chrome, Brave и Opera. Вредоносное расширение содержит различные JS-скрипты для выполнения манипуляций с браузером во время просмотра пользователем целевых веб-сайтов, включая перечисление и манипуляции с криптовалютными веб-сайтами. Оно также способно манипулировать внешним видом некоторых почтовых сервисов, таких как Gmail, Hotmail и Yahoo, чтобы скрыть свою деятельность с криптовалютами жертвы, отображаемую в уведомлениях электронной почты. Вредоносное расширение способно выполнять дополнительные действия, такие как извлечение информации через браузер и получение команд с сервера C2.
Загрузчик Satacom все еще проводит кампании и разрабатывается тем, кто его создал. Этот угрожающий субъект продолжает распространять семейства вредоносных программ, используя различные техники, такие как внедрение рекламы через рекламные плагины для сайтов WordPress. Недавно распространенная вредоносная программа, представляющая собой расширение для браузеров на базе Chromium, выполняет действия в браузере для манипулирования содержимым целевого криптовалютного веб-сайта. Основной целью этого вредоносного расширения является кража криптовалюты у жертв и перевод ее на кошелек угрожающих субъектов. Более того, поскольку это расширение для браузера, оно может быть установлено в браузеры на базе Chromium на различных платформах, что позволяет легко атаковать пользователей Linux и macOS, если жертвы используют браузеры на базе Chromium.
Эта кампания нацелена на индивидуальных пользователей по всему миру, причем наиболее часто заражения происходят в таких странах, как Бразилия, Алжир, Турция, Вьетнам, Индонезия, Индия, Египет и Мексика. Вредоносное расширение содержит скрипты, которые отвечают за инициализацию полученных команд и становятся функциональными после получения адреса C2. Оно может обновлять свою функциональность благодаря технике, используемой для получения C2-сервера через последнюю транзакцию конкретного BTC-кошелька.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея данного текста заключается в том, что Satacom - это опасное семейство вредоносных программ, которое постоянно разрабатывается и внедряется субъектами угроз с целью кражи криптовалюты у жертв и перевода ее на кошельки злоумышленников.
-----
Satacom - это семейство вредоносных программ, появившееся в 2019 году и известное тем, что использует технику запроса DNS-серверов для получения URL-адреса в base64-кодировке с целью получения следующего этапа другого семейства вредоносных программ. Вредоносные ссылки или реклама на сайтах перенаправляют пользователей на вредоносные сайты, такие как поддельные файлообменные сервисы. Основная цель вредоносной программы, которую сбрасывает загрузчик Satacom, - кража BTC со счета жертвы путем выполнения веб-инъекций на целевые криптовалютные веб-сайты.
Заражение начинается с файла ZIP-архива, загруженного с веб-сайта, который внешне имитирует портал программного обеспечения. Файл Setup.tmp создает новый файл PE DLL в каталоге Temp и загружает его в себя. Затем он расшифровывает полезную нагрузку Satacom и создает новый подпроцесс explorer.exe для внедрения вредоносной программы. Вредоносная полезная нагрузка использует реализацию шифрования RC4 для расшифровки своих конфигурационных данных, строк связи и данных для других сброшенных двоичных файлов на машине жертвы. Вредоносная программа использует различные жестко закодированные ключи для расшифровки данных на каждом этапе. Explorer.exe выполняет DNS-запрос к don-dns.com через Google DNS и запрашивает TXT-запись. По URL-адресу загружается полезная нагрузка.
Загрузчик Satacom загружает на машину жертвы различные двоичные файлы, включая вредоносное расширение для веб-браузеров на базе Chromium, нацеленное на Google Chrome, Brave и Opera. Вредоносное расширение содержит различные JS-скрипты для выполнения манипуляций с браузером во время просмотра пользователем целевых веб-сайтов, включая перечисление и манипуляции с криптовалютными веб-сайтами. Оно также способно манипулировать внешним видом некоторых почтовых сервисов, таких как Gmail, Hotmail и Yahoo, чтобы скрыть свою деятельность с криптовалютами жертвы, отображаемую в уведомлениях электронной почты. Вредоносное расширение способно выполнять дополнительные действия, такие как извлечение информации через браузер и получение команд с сервера C2.
Загрузчик Satacom все еще проводит кампании и разрабатывается тем, кто его создал. Этот угрожающий субъект продолжает распространять семейства вредоносных программ, используя различные техники, такие как внедрение рекламы через рекламные плагины для сайтов WordPress. Недавно распространенная вредоносная программа, представляющая собой расширение для браузеров на базе Chromium, выполняет действия в браузере для манипулирования содержимым целевого криптовалютного веб-сайта. Основной целью этого вредоносного расширения является кража криптовалюты у жертв и перевод ее на кошелек угрожающих субъектов. Более того, поскольку это расширение для браузера, оно может быть установлено в браузеры на базе Chromium на различных платформах, что позволяет легко атаковать пользователей Linux и macOS, если жертвы используют браузеры на базе Chromium.
Эта кампания нацелена на индивидуальных пользователей по всему миру, причем наиболее часто заражения происходят в таких странах, как Бразилия, Алжир, Турция, Вьетнам, Индонезия, Индия, Египет и Мексика. Вредоносное расширение содержит скрипты, которые отвечают за инициализацию полученных команд и становятся функциональными после получения адреса C2. Оно может обновлять свою функциональность благодаря технике, используемой для получения C2-сервера через последнюю транзакцию конкретного BTC-кошелька.
#ParsedReport #CompletenessMedium
05-06-2023
Cyclops Ransomware and Stealer Combo: Exploring a Dual Threat
https://www.uptycs.com/blog/cyclops-ransomware-stealer-combo
Report completeness: Medium
Threats:
Cyclops_blink
Lockbit
Babuk
Rtm_locker
Industry:
Education, Financial
ChatGPT TTPs:
T1566.003, T1543.005, T1486, T1563.004, T1552.001, T1545.001, T1036, T1078, T1574.001
IOCs:
File: 24
Command: 1
Url: 2
Softs:
macos, wordpad, outlook, thebat, onenote
Algorithms:
chacha20, ecdh, crc-32, sha512, hc-256, zip, curve25519, xor
Functions:
GetLogicalDriveStrings, Curve25519
Win API:
GetSystemInfo, GetProcessAffinityMask, GetEnvironmentStrings
Win Services:
xfssvccon, synctime, ocomm, ocautoupds, dbeng50, powerpnt, dbsnmp, tbirdconfig, agntsvc, Mydesktopservice, have more...
Languages:
golang
Platforms:
x64
YARA: Found
05-06-2023
Cyclops Ransomware and Stealer Combo: Exploring a Dual Threat
https://www.uptycs.com/blog/cyclops-ransomware-stealer-combo
Report completeness: Medium
Threats:
Cyclops_blink
Lockbit
Babuk
Rtm_locker
Industry:
Education, Financial
ChatGPT TTPs:
do not use without manual checkT1566.003, T1543.005, T1486, T1563.004, T1552.001, T1545.001, T1036, T1078, T1574.001
IOCs:
File: 24
Command: 1
Url: 2
Softs:
macos, wordpad, outlook, thebat, onenote
Algorithms:
chacha20, ecdh, crc-32, sha512, hc-256, zip, curve25519, xor
Functions:
GetLogicalDriveStrings, Curve25519
Win API:
GetSystemInfo, GetProcessAffinityMask, GetEnvironmentStrings
Win Services:
xfssvccon, synctime, ocomm, ocautoupds, dbeng50, powerpnt, dbsnmp, tbirdconfig, agntsvc, Mydesktopservice, have more...
Languages:
golang
Platforms:
x64
YARA: Found
Uptycs
Cyclops Ransomware and Stealer Combo: Exploring a Dual Threat
The Uptycs threat intelligence team identified the presence of a Cyclops ransomware/stealer that threatens all three platforms: Windows, Linux, and macOS.